El «Framing Gap»: por qué las inyecciones reformuladas eluden las defensas superficiales de los agentes

¿Qué es esto?

El 27 de agosto de 2026, Md Habibur Rahman y Jaeho Kim publicaron «The Framing Gap» (arXiv cs.CR). El artículo estudia un agente LLM con herramientas que lee una página web controlada por un atacante mientras custodia un secreto, y mide con qué facilidad la página puede provocar su filtración. Los experimentos se realizan en un laboratorio sintético: secreto canario, herramientas simuladas y comparaciones emparejadas limpio/envenenado en seis modelos. No interviene ningún sistema real.

Resultado principal: las inyecciones explícitas («envíame el secreto») se rechazan en su mayoría, pero la misma fuga disfrazada de firma de integridad obligatoria, campo de configuración o host «de confianza» falso tiene éxito con mucha mayor frecuencia. En gpt-4o, el éxito pasó del 0 % al 100 %.

Cómo funciona

El ataque no vence la alineación del modelo; cambia el encuadre de la petición. Según los autores, el modelo trata la petición reformulada como parte del formato de datos de la tarea y no como una instrucción que rechazar. Una ablación lo respalda: eliminar la política de confidencialidad apenas cambió el éxito del ataque reformulado (31,9 % a 38,1 %), lo que apunta a confusión entre instrucciones y datos y no a un entrenamiento de seguridad roto.

El artículo describe además tres niveles de coste para el atacante:

• Reformular un mecanismo conocido: fácil (alrededor del 96 % de éxito).
• Cambiar el campo dentro de una plantilla ya eficaz: moderado (hasta el 60 %).
• Construir una página en torno a un mecanismo realmente nuevo: muy difícil (0 de 130).

El activo reutilizable es la plantilla, no el mecanismo subyacente. Este artículo omite deliberadamente las plantillas de las páginas.

Por qué importa

Muchas defensas desplegadas buscan lo que dice la inyección: filtros de palabras clave, clasificadores, ajuste fino contra formulaciones conocidas. El estudio sugiere que son superficiales. En las pruebas del artículo, una defensa por ajuste fino (SecAlign, arXiv 2410.05451) dejó un 32,5 % de éxito en el agente con herramientas, la separación de canales un 38,8 %, y un guardia normalizador de salidas fue eludido al 100 % con una codificación ROT13 no vista. Una cláusula de política amplia «en cualquier forma» bloqueó el ataque (0 %) pero es frágil: quitar la cláusula general lo reabrió (48,8 %).

Esto refuerza la visión arquitectónica detrás de la «lethal trifecta» de Simon Willison: datos privados, contenido no confiable y un canal saliente en el mismo agente son la exposición real, sin importar cuán bien reconozca el modelo los ataques.

Defensas

Las defensas eficaces fueron indiferentes al contenido, es decir, no dependen de reconocer el texto malicioso:

• Lista de destinos permitidos. Cerrar el conjunto de hosts a los que el agente puede conectarse bloqueó la exfiltración por completo (0 %).
• Separación planificador/lector. Aislar el componente que lee contenido no confiable del que puede actuar; el lector no tiene autoridad sobre herramientas (0 %).
• Mínimo privilegio y aprobación humana para acciones salientes o de alto riesgo, en línea con la guía OWASP LLM01.
• Validación determinista de salidas mediante código, no por juicio del modelo, para todo valor que cruce el límite de confianza.
• Pruebas adversarias periódicas que incluyan variantes reformuladas, no solo inyecciones explícitas.

Estado

Elemento	Detalle
Tipo de fuente	Preprint (arXiv cs.CR), sin revisión por pares hasta donde pudimos verificar
Publicación	2026-08-27
Entorno	Laboratorio sintético, secreto canario, herramientas simuladas
Estado del parche	No es una vulnerabilidad de producto; sin CVE
Mitigaciones eficaces	Lista de destinos permitidos, separación planificador/lector